Symfony corrige trois CVE de déni de service à distance

Symfony a corrigé trois vulnérabilités de déni de service à distance réparties sur plusieurs de ses composants, relayées par le CERT-FR dans l'avis CERTFR-2026-AVI-1324 du 15 octobre 2026. Les failles — CVE-2026-108082, CVE-2026-109413 et CVE-2026-109449 — sont documentées dans les avis de sécurité GitHub du projet, les sources primaires : GHSA-2v3c-qxhr-7vpv, GHSA-7rpj-w9pf-39rr et GHSA-r925-mgvr-h9cc.

Composants et versions concernés

Le correctif touche quatre paquets. Chacun est corrigé sur l'ensemble des branches maintenues :

• symfony/expression-language : 5.x antérieures à 5.4.54, 6.x antérieures à 6.4.48, 7.x antérieures à 7.4.21, 8.x antérieures à 8.1.9.
• symfony/http-foundation : 5.x antérieures à 5.4.54, 6.x antérieures à 6.4.46, 7.x antérieures à 7.4.19, 8.x antérieures à 8.1.7.
• symfony/yaml : 5.x antérieures à 5.4.54, 6.x antérieures à 6.4.45, 7.x antérieures à 7.4.18, 8.x antérieures à 8.1.6.
• symfony/symfony (métapaquet) : 5.x antérieures à 5.4.54, 6.x antérieures à 6.4.48, 7.x antérieures à 7.4.21, 8.x antérieures à 8.1.9.

L'avis de l'ANSSI ne mappe pas chaque CVE à un composant précis ; les avis GitHub ci-dessus donnent le détail paquet par paquet.

Exploitation

Ni Symfony ni le CERT-FR ne signalent d'exploitation active. La gravité tient au périmètre : http-foundation et yaml sont des dépendances quasi universelles d'une application Symfony, et un déni de service déclenchable à distance sur l'un d'eux peut être atteint par une entrée utilisateur mal bornée (corps de requête, en-tête, fichier YAML parsé). Aucun code d'exploitation public n'est mentionné à ce stade.

Que faire

1. Mettez à jour via Composer vers la dernière version de maintenance de votre branche : composer update symfony/* --with-all-dependencies, puis vérifiez les versions résolues avec composer show 'symfony/*'.
2. Ciblez en priorité symfony/http-foundation et symfony/yaml, présents dans quasiment tout projet Symfony, avant expression-language dont l'usage est plus ciblé.
3. Vérifiez les projets figés sur une version LTS ancienne : la branche 5.4 est corrigée en 5.4.54, ne restez pas sur une 5.4 antérieure sous prétexte de stabilité.
4. Recensez les dépendances transitives : un paquet tiers peut embarquer un composant Symfony vulnérable sans que vous le déclariez directement.

À mettre en perspective

Trois CVE de DoS sur des composants aussi centraux rappellent que la surface d'attaque d'un framework ne se limite pas à ses failles d'exécution de code : une requête forgée qui fait tomber le worker suffit à dégrader un service. Le correctif est trivial à appliquer — une montée de version Composer — ce qui rend l'inaction d'autant moins défendable.